CVE-2026-29954
Açıklama
KubePlus 4.1.4 sürümünde, mutating webhook ve kubeconfiggenerator bileşenleri, ResourceComposition kaynaklarının chartURL alanı işlenirken bir SSRF zafiyetine sahiptir. Alan, hedef adres doğrulanmadan yalnızca URL ile kodlanmaktadır. Daha kritik olarak, kubeconfiggenerator grafiklerini indirmek için wget kullandığında, chartURL doğrudan komuta eklenmekte ve bu durum saldırganların rastgele HTTP başlık enjeksiyonu gerçekleştirmek için wget'in `--header` seçeneğini enjekte etmesine olanak tanımaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cloudark kubeplus | 4.1.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.